Počítání aktivních VPN lokalit FTD: které číslo máte na mysli?

Než napíšete úlohu Ansible, odpovězte na menší otázku: co se vlastně počítá? Nakonfigurovaný partner, relace IKE, bezpečnostní asociace IPsec a záznam sledovaného stavu tunelu jsou čtyři různé jednotky a obnovení klíčů nebo několik chráněných sítí způsobuje, že se jejich součty rozcházejí. Když se panel a playbook rozcházejí, obvykle počítají různé věci, ne že by jeden z nich byl špatný.

Čtyři věci, kterým lidé říkají aktivní

Nakonfigurovaný partner je topologický objekt: existuje, protože ho někdo definoval. Relace IKE je vztah na rovině řízení, který může být nahoru, i když neprotéká žádný provoz. SA IPsec je asociace na rovině dat pro konkrétní dvojici selektorů a jeden tunel jich může nést několik. Sledovaný stav tunelu je vlastní provozní verdikt platformy a obvykle je nejblíž tomu, co operátor myslí tím, že tunel je nahoru.

Jen poslední je rozumným základem pro provozní počet. První je inventář konfigurace a vykazovat ho jako aktivní je způsob, jakým panel ukazuje zelenou u partnera, který je od úterý dole. Rozhodněte, kterou jednotku spotřebitel čísla potřebuje, a pak metriku pojmenujte s touto jednotkou v jejím názvu.

První rozhodnutí: která rovina správy?

Pokud zařízení spravuje FDM, příslušným rozhraním je FTD REST API. Pokud ho spravuje FMC, toto API není zaměnitelnou náhradou a objekty žijí za vlastním API FMC. Potvrďte to dřív, než napíšete jediný požadavek, protože špatná rovina vrací věrohodnou chybu, která vypadá jako problém s oprávněními.

U flotily odpověď také určuje, kam počet patří: na zařízení přes FDM, nebo na doménu přes FMC. To jsou různé rozsahy a dávají různé počty pro stejnou flotilu.

Druhé rozhodnutí: který prostředek odpovídá?

Pro příklad vázaný na verzi dokumentuje referenční příručka objektů FMC 7.3 API prostředky GET pod cestou health:

/api/fmc_config/v1/domain/{domainUUID}/health/tunnelstatuses
/api/fmc_config/v1/domain/{domainUUID}/health/tunnelsummaries

Prostředek stavu tunelu podporuje filtry zařízení a stavu, včetně TUNNEL_UP. To vám dává skutečný provozní prostředek k prozkoumání pro danou verzi, ne odhad názvu pole.

Před implementací parseru potvrďte dostupnost, oprávnění, parametry požadavku a schéma odpovědi v API Exploreru nasazeného FMC. Dokumentace jedné verze je výchozí bod, ne smlouva pro tu, kterou provozujete.

Napište smlouvu o počítání

Vyjádřete metriku jednou větou: jedinečné provozní záznamy tunelů pro jedno zamýšlené zařízení a doménu, jejichž hlášený stav je TUNNEL_UP. Pak zdokumentujte, jak jsou zastoupena redundantní zařízení a více záznamů pro jednu logickou lokalitu, protože tyto dva případy rozhodují, zda vaše číslo odpovídá tomu na poradě.

Neměňte tiše jednotku ze záznamu tunelu na vzdálenou lokalitu. Pokud business chce lokality, namapujte záznamy na lokality explicitně a mapování zveřejněte. Počet, který se tiše předefinovává, je horší než žádný počet, protože nikdo nepozná, kdy se změnil.

K souhrnnému prostředku přistupujte jako k pohodlí až poté, co potvrdíte, co shrnuje. Může agregovat přesně to, co potřebujete, nebo odpovídat na jemně odlišnou otázku. Přečtěte si jeho schéma jednou, zapište rozdíl a použijte prostředek stavu, pokud souhrn nelze vysvětlit. Souhrnu, kterému nerozumíte, je číslo, které na revizi neobhájíte.

Ať pracovní postup zachová nejistotu

Použijte schválené HTTPS API, ověřte certifikát, držte tokeny mimo výstup úlohy a načtěte rozsah pomocí filtru a stránkování, které verze podporuje. Pak ověřte schéma, než cokoli spočítáte.

fetch intended domain/device runtime records
validate response, completeness and freshness
deduplicate by the documented tunnel identity
count records matching the approved up-state definition
report count with scope, timestamp and metric unit

To je pseudokód pracovního postupu, ne otestovaný playbook. Vezměte skutečné názvy polí z nainstalovaného API místo vymýšlení klíče JSON s názvem active.

Důležité pravidlo je chování při selhání: chyba autorizace, nepodporovaný prostředek, zastaralý vzorek nebo neúplná sada stránek musí dát unknown nebo error, nikdy úspěšnou nulu. Nula, která znamená, že jsem se nemohl zeptat, je nejdražší druh chyby.

Ověřte proti vlastnímu pohledu platformy

Porovnejte první výsledek s pohledem monitorování VPN dané verze pro stejné zařízení a okamžik. Když se liší, zjistěte, kterou jednotku každý používá, než změníte playbook.

Uchovávejte neutajovaný kontext pro každé spuštění: rozsah, časové razítko, jednotku metriky a počet záznamů. Referenční příručka objektů FMC 7.3 API je zdrojem cest k prostředkům výše a API Explorer na vašem vlastním nasazení je zdrojem všeho ostatního.